W97M_CRIGENT.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、感染したMicrosoft Word または Microsoft Excel文書としてコンピュータに侵入します。マルウェアは、「Windows PowerShell」を利用し、不正活動を実行します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %ApplicationData%\{GUID}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "wscript.exe %ApplicationData%\{GUID}\{GUID}.vbs"

バックドア活動

マルウェアは、以下のポートを開きます。

• 8123 - Used for Web Proxy (Polipo)
• 9050 - Used for traffic encryption (TOR)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}jqj42hu.onion/get.php?s=setinfo&uid={GUID}
• http://{BLOCKED}ormjqj42hu.onion/get.php?s=setup&uid={GUID}

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• IP Address
• Country code
• Country name
• Region code
• Region name
• City
• Zipcode
• Latitude
• User account privilege
• OS version
• OS architecture
• Domain
• OS Language
• Microsoft Office applications
• Microsoft Office application versions

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://i.{BLOCKED}n.de/
• http://gg.{BLOCKED}z.cc/

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %ApplicationData%\{GUID}\{GUID}.zip - contains 'tor.exe' and 'polipo.exe'
• %ApplicationData%\{GUID}\tor.exe
• %ApplicationData%\{GUID}\polipo.exe
• %ApplicationData%\{GUID}\{GUID}.vbs - C&C generated file

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://freegeoip.net/json/

マルウェアは、以下のファイルを作成します。

• %ApplicationData%\{GUID}\roaminglog - TOR initialization log

マルウェアが開く以下のポートは、Webプロキシ(Polipo)のために利用されます。

• 8123

マルウェアが開く以下のポートは、トラフィックの暗号化(TOR)に利用されます。

• 9050

マルウェアがコマンド＆コントロール（C&C）サーバに通知する情報は以下のとおりです。

• IPアドレス
• 国コード
• 国名
• 地域コード
• 地域名
• 市
• 郵便番号
• 緯度
• ユーザアカウント権限
• オペレーティングシステム（OS）のバージョン
• OSのアーキテクチャ
• ドメイン
• OSの言語
• Microsoft Officeのアプリケーション
• Microsoft Officeのアプリケーションのバージョン

マルウェアが、ダウンロードして保存する以下のファイルには、'tor.exe'および'polipo.exe'が含まれています。

• %ApplicationData%\{GUID}\{GUID}.zip

マルウェアが、ダウンロードして保存する以下のファイルは、C&Cが生成したファイルです。

• %ApplicationData%\{GUID}\{GUID}.vbs

マルウェアが作成する以下のファイルは、TORの初期化ログです。

• %ApplicationData%\{GUID}\roaminglog

マルウェアは、完全な実行のためにアプリケーション「Windows PowerShell」を要求します。

マルウェアは、コマンド＆コントロール（C&C）サーバから感染活動のルーチンを取得し、以下の拡張子を持つファイルに感染します。

• *.doc
• *.docx
• *.xls
• *.xlsx

マルウェアは、"*.docx"のファイルのコピーを"*.doc"のフォーマットで、また、"*.xlsx"のファイルのコピーを"*.xls"のフォーマットで同じディレクトリの下に保存します。そして、オリジナルのファイルを削除します。

マルウェアは、以下のアプリケーションのセキュリティ設定を下げます。

• Microsoft Office Word
• Microsoft Office Excel